정답은 2번이다. 정보통신망 보호법 제22조에 따르면, 주요정보통신기반시설의 보호체계는 위험 평가와 관리 방안을 필요로 하지 않는다. 따라서, 기관의 정보보호 정책 수립과 관련된 내용이 올바르지 않다.